Intel處理器隱藏的MINIX系統(tǒng)居然是全球第一系統(tǒng)

　　聽說英特爾處理器上“隱藏”的一個(gè)秘密，據(jù)了解原來英特爾現(xiàn)代處理器都會(huì)有一個(gè)小型的MINIX系統(tǒng)。不看不知道，一看嚇一跳，MINIX現(xiàn)在可能是世界上使用最廣泛的x86電腦操作系統(tǒng)了，可以堪稱是名副其實(shí)的全球第一系統(tǒng)。

　　可能你從未聽過說過MINIX，但只要你有一顆Intel近些年出的CPU處理器，其中就有它。

　　Intel現(xiàn)代處理器都有一個(gè)ME（Management Engine）管理引擎，相當(dāng)于一個(gè)小型、低功耗的電腦系統(tǒng)，它由一個(gè)或者多個(gè)內(nèi)核、內(nèi)存、系統(tǒng)時(shí)鐘、總線及用于加密引擎的保留內(nèi)存組成，還有自己的獨(dú)立操作系統(tǒng)及程序，可以讀取系統(tǒng)主內(nèi)存，可以通過Intel網(wǎng)絡(luò)控制器連接網(wǎng)絡(luò)。

　　MINIX正是ME管理引擎當(dāng)中的這個(gè)獨(dú)立操作系統(tǒng)，用來管理協(xié)調(diào)內(nèi)部的諸多模塊，尤其是眾多芯片組整合在一起之后，處理器已經(jīng)差不多成了SoC單芯片系統(tǒng)，更需要一個(gè)“總管”。

　　MINIX是一個(gè)類似Unix的超迷你系統(tǒng)，開發(fā)者是行業(yè)大牛Andrew Tanenbaum（ast），本來是個(gè)教育工具，用來展示操作系統(tǒng)編程，Intel將它拿過來整合在了每一塊處理器中。

　　隨后開發(fā)者Andrew在個(gè)人網(wǎng)站上發(fā)布了公開信，澄清了自己和這事沒什么關(guān)系。

　　Andrew強(qiáng)調(diào)自己沒有直接參與這個(gè)項(xiàng)目，如果這個(gè)系統(tǒng)有后門的話，這與他無關(guān)。

　　Andrew稱，MINIX 3在2000年決定采用BSD授權(quán)，原因是企業(yè)不喜歡GPL許可證，認(rèn)為GPL會(huì)讓他們花費(fèi)許多時(shí)間精力金錢去修改代碼，然后免費(fèi)提供競(jìng)爭(zhēng)對(duì)手。

　　Andrew說Intel的一個(gè)工程師團(tuán)隊(duì)幾年前接觸了他，詢問了關(guān)于MINIX的大量技術(shù)問題，Andrew很高興對(duì)此進(jìn)行作答。

　　Intel工程師團(tuán)隊(duì)要求他對(duì)MINIX 3進(jìn)行修改調(diào)整，例如為了減少內(nèi)存占用，選擇性的禁用一些并不總是需要的功能（如浮點(diǎn)支持）等。

　　不過隨后雙方就沒有再產(chǎn)生什么交集，直到現(xiàn)在媒體報(bào)道所有Intel處理器都運(yùn)行了MINIX 3。

　　Andrew對(duì)此感到吃驚，但并不在意，因?yàn)椴僮飨到y(tǒng)是BSD授權(quán)，Intel不需要付錢給他。

　　對(duì)Andrew來說，唯一感覺不錯(cuò)的一點(diǎn)是，MINIX現(xiàn)在可能是世界上使用最廣泛的x86電腦操作系統(tǒng)了。

　　MINIX可以運(yùn)行Intel的各種技術(shù)，包括AMT主動(dòng)管理技術(shù)、啟動(dòng)防護(hù)（Boot Guard）、音頻/視頻數(shù)字版權(quán)管理等。雖然有些技術(shù)是為了保護(hù)及方便用戶，但ME程序要求用戶放棄電腦控制權(quán)，這些控制是有利于Intel、商業(yè)伙伴或者大型媒體公司的。

　　MINIX在處理器內(nèi)部擁有自己的CPU內(nèi)核和專屬固件，完全獨(dú)立于其他部分，而且完全隱形，操作系統(tǒng)和用戶均不可見，運(yùn)行權(quán)限更是達(dá)到了Ring -3。正是這種超級(jí)權(quán)限也使得MINIX的存在成了巨大的安全隱患。

　　要知道，我們?nèi)粘５某绦驒?quán)限級(jí)別都是Ring 3，操作系統(tǒng)內(nèi)核運(yùn)行在Ring 0，這也是一般用戶能夠接觸到的最低權(quán)限，MINIX則竟然深入到了Ring -3。

　　MINIX可以完全控制用戶的電腦，它可以控制開機(jī)、關(guān)機(jī)，讀取所有開放文件、檢查所有已運(yùn)行的程序、追蹤用戶的鍵盤、鼠標(biāo)動(dòng)作，甚至還能截屏。此外，它還有個(gè)被證明不那么安全的網(wǎng)絡(luò)接口，攻擊者可以通過它植入Rootkit程序或者入侵電腦。

　　事實(shí)上，即便是在休眠乃至關(guān)機(jī)狀態(tài)下，MINIX可能都在不間斷運(yùn)行，因?yàn)镸E管理引擎要在處理器啟動(dòng)的同時(shí)就開始執(zhí)行管理工作，還要負(fù)責(zé)芯片級(jí)的安全功能。

　　這就使得MINIX擁有至高無上的地位，而且不管你的電腦里裝的是Windows、Linux、macOS，都有一個(gè)它在默默運(yùn)行，使之成為名副其實(shí)的全球第一系統(tǒng)。

　　Google研究后也發(fā)現(xiàn)，MINIX Ring -3權(quán)限級(jí)別擁有完整的網(wǎng)絡(luò)堆棧、文件系統(tǒng)、USB/網(wǎng)絡(luò)等大量驅(qū)動(dòng)程序、Web服務(wù)器。

　　這就意味著，MINIX本身就是個(gè)獨(dú)立于計(jì)算機(jī)系統(tǒng)之外的完整小王國，想干什么都行，甚至是在你關(guān)機(jī)狀態(tài)下架設(shè)一個(gè)聯(lián)網(wǎng)服務(wù)器！也就是說，每一款I(lǐng)ntel處理器當(dāng)中都有可能會(huì)存在后門！

　　不難預(yù)見，如果這樣的系統(tǒng)被外部攻擊，或者比如植入Rootkit惡意軟件什么的，用戶是百分之百?zèng)]有任何辦法的，因?yàn)檎l都沒有途徑去訪問它。

　　據(jù)稱，Google就正在努力從自家內(nèi)部服務(wù)器上移除MINIX，但尚未成功。

　　其實(shí)早在2016年6月，美國自由軟件基金會(huì)FSF就曾刊文討伐Intel ME引擎會(huì)完全控制用戶電腦，而且用戶很可能完全不知情。

　　當(dāng)時(shí)，Intel安全部門的首席技術(shù)員Steve Grobman回應(yīng)稱，所謂的“后門”子虛烏有。這只是Intel借助推送固件升級(jí)的接口而已。此外，Steve Grobman還表示，及時(shí)推送固件升級(jí)有助于Intel和OEM廠商為處理器增強(qiáng)防護(hù)，這樣反而更安全了。

　　至于AMD處理器是否也有類似功能，尤其是最新的Zen架構(gòu)產(chǎn)品，目前還不得而知。